Управление доступом для Dataverse и Power Platform
Power Platform обеспечивает множественный контроль доступа для соблюдения правил регионального суверенитета и конфиденциальности пользователей. Средства управления обработкой и шифрованием данных гарантируют, что данные о клиентах в Dataverse остаются в исходном источнике (например, Dataverse или SharePoint).
Приложения Power Platform используют службу хранилища Azure и базу данных SQL Azure для сохранения данных. Данные, используемые в мобильных приложениях, шифруются и хранятся в SQL Express. Данные клиентов в базе данных SQL Azure полностью шифруются с помощью технологии прозрачного шифрования данных (TDE). Все сохраняемые данные по умолчанию шифруются с использованием ключей, управляемых Microsoft, и многие продукты Power Platform позволяют клиентам управлять своими собственными ключами шифрования (ключами, управляемыми клиентом). в Microsoft Azure Key Vault.
Кроме того, Управление идентификаторами, Безопасность на основе ролей и Детальная настройка контроля разрешений позволяют клиентам Dataverse и Power Platform объединять подразделения, безопасность на основе ролей, безопасность на основе строк и безопасность на основе столбцов.
Эти возможности позволяют точно контролировать доступ пользователей к информации, помогая соблюдать требования контроля суверенитета.
Управление доступом на основе ролей (Role-Based Access Control, RBAC)
Управление доступом на основе ролей (RBAC), также известное как безопасность на основе ролей, представляет собой метод, который предоставляет разрешения конечным пользователям на основе их роли в вашей организации. Это помогает вам управлять доступом простым и управляемым способом. Это также уменьшает количество ошибок, которые могут возникнуть при индивидуальном назначении разрешений.
Детализированные элементы управления RBAC в Dataverse могут гарантировать, что пользователи имеют именно те разрешения, которые необходимы для их ролей. Разрешения могут быть предоставлены на уровне среды, роли, базы данных, таблицы, строки и столбца. Организации могут определять, кто может читать, записывать, удалять или изменять определенные записи, поля или приложения. Такая детализация помогает соблюдать суверенитет данных клиентов. Дополнительные сведения см. в разделе Настройка безопасности пользователей в среде — Power Platform | Microsoft Learn.
Среды Dataverse имеют предопределенные роли безопасности, которые следуют принципу минимального необходимого доступа. Эти роли предоставляют пользователям минимальный доступ, необходимый им для выполнения задач в определенных приложениях. Доступные роли зависят от типа среды и установленных приложений.
Если в среде есть база данных Dataverse, следуйте принципам минимально необходимого доступа и минимизируйте количество пользователей, имеющих доступ к роли системного администратора.
Для сред без базы данных Dataverse существуют две заранее определенные роли:
Администратор среды: выполняет административные действия, подготавливает базы данных, управляет ресурсами и создает политики защиты от потери данных.
Создатель среды: создает ресурсы (приложения, подключения, API и т. д.), но не имеет прав доступа к данным.
Чтобы контролировать доступ к обоим приложениям и Dataverse через Power Apps, следуйте инструкциям, приведенным здесь Как контролировать доступ к приложениям и Dataverse — Сообщество Power Platform (microsoft.com).
Управление привилегированными пользователями (PIM)
PIM — это служба в Microsoft Entra ID, которая помогает вам управлять контролем и отслеживать доступ к важным ресурсам. Вы можете использовать ее для защиты своих суверенных данных Dataverse от риска доступа со стороны злонамеренного инсайдера или злонамеренного поставщика Microsoft Cloud. Вот некоторые функции PIM, которые могут вам помочь:
Своевременный доступ: PIM предоставляет пользователям своевременный привилегированный доступ к Microsoft Entra ID и ресурсам Azure. Это означает, что пользователи получают временные разрешения на выполнение привилегированных задач, что предотвращает получение доступа злоумышленниками или неавторизованными пользователями после истечения срока действия разрешений.
Доступ с привязкой по времени: вы можете установить доступ к ресурсам с привязкой по времени, используя даты начала и окончания. Этот тип доступа ограничивает время, в течение которого пользователь может получить доступ к конфиденциальным данным, снижая риск их раскрытия.
Активация роли на основе утверждения: PIM требует одобрения для активации привилегированных ролей. Этот шаг добавляет дополнительный уровень контроля и прозрачности, гарантируя, что вышестоящий орган одобрит активацию ролей.
Многофакторная аутентификация: PIM обеспечивает многофакторную аутентификацию для активации любой роли. Этот процесс требует от пользователя подтвердить свою личность как минимум с помощью двух отдельных форм проверки.
Проверки доступа: PIM позволяет проводить проверки доступа, чтобы убедиться, что пользователям по-прежнему нужны назначенные роли. Проверки помогут вам удалить ненужные права доступа и снизить риск инсайдерских угроз.
Благодаря другим элементам управления условным доступом и определением местоположения Entra, PIM может помочь вам контролировать доступ к средам, разрешая только доверенные устройства, местоположения и другие условия, которые можно оценить для аутентификации. Вы можете использовать эти функции PIM, чтобы снизить риск того, что злонамеренный инсайдер или скомпрометированный поставщик Microsoft Cloud получит доступ к вашим данным, хранящимся в облаке Dynamics. Дополнительную информацию о PIM см. в разделе Что такое управление привилегированными пользователями? — Управление в Microsoft Entra ID | Microsoft Learn.
Роли безопасности
Вы можете защитить свои данные и обеспечить пользователям минимальные необходимые привилегии, используя роли безопасности на уровне авторизации и данных Dataverse, которые определяют защиту строк, полей, иерархическую и групповую защиту. Эти роли дают вам возможность детально определять безопасность на уровне полей. Dataverse реализует проверки привилегий и доступа, чтобы помочь вам сохранить этот контроль. Привилегии управляются с помощью ролей безопасности или назначений рабочих групп, а проверки доступа управляются с помощью владения, ролевого доступа, общего доступа или иерархического доступа.
Например, чтобы снизить риск непреднамеренного раскрытия данных и гарантировать, что только уполномоченный персонал может осуществлять передачу данных, установите разрешения пользователей, чтобы запретить учетным записям пользователей Entra Guest создавать Power Apps. Убедитесь, что при назначении привилегий и наследования пользователю или рабочей группе каждый человек получает только соответствующий уровень привилегий.
Дополнительная информация о ролях безопасности и привилегиях Dataverse доступна, чтобы помочь вам гарантировать, что только авторизованные пользователи могут получить доступ к вашим суверенным активам.
Бизнес-единицы
Каждая база данных Dataverse имеет единственное корневое подразделение. Это подразделение определяет границу безопасности, которая работает с безопасностью на основе ролей и позволяет управлять пользователями и данными, к которым они могут получить доступ. Это может облегчить суверенный контроль, особенно в крупных или сложных организациях с несколькими подразделениями, имеющими разные уровни доступа и ограничений. Создание дочерних подразделений и предоставление ролей с минимально необходимыми разрешениями на доступ служат ограждением для защиты суверенитета данных. Подразделения специфичны для конкретной среды, и ими можно управлять с помощью элементов управления средой в центре администрирования.
Dataverse также использует элементы управления удостоверениями и доступом Microsoft Entra, обеспечивающими доступ к среде, данным и отчетам только авторизованным пользователям. Также, так как Dataverse построен на Azure, он использует мощные технологии безопасности платформы Azure.
Управление ключами и шифрование
Dynamics 365 работает в Azure как служба, поддерживающая архитектуру обслуживания одним экземпляром приложения нескольких развертываний. Это означает, что развертывания, виртуальные машины и данные нескольких клиентов хранятся на одном физическом оборудовании. Azure использует логические элементы управления, чтобы обеспечить масштабируемость и экономические преимущества служб с несколькими клиентами, одновременно предотвращая доступ клиентов к данным друг друга.
Данные клиентов в Dataverse остаются в исходном источнике (например, Dataverse или SharePoint). Приложения Power Platform используют службу хранилища Azure и базу данных SQL Azure для сохранения данных. Данные, используемые в мобильных приложениях, шифруются и хранятся в SQL Express.
Dataverse шифрует данные на диске в режиме реального времени с помощью прозрачного шифрования данных SQL Server (TDE) с использованием надежных ключей, которыми управляет Microsoft. Шифрование службы хранилища Azure шифрует данные клиентов, хранящиеся в хранилище BLOB-объектов Azure. Power Platform шифрует все данные ,которые она сохраняет, по умолчанию с помощью ключей, управляемых Microsoft. Клиенты управляемой среда Dynamics, имеющие соответствующие лицензии и подписки, должны использовать Ключи, управляемые клиентом, когда они могут. Ключи, управляемые клиентом, работают с Dataverse и большинством приложений Dynamics 365.
Внимание
Имейте в виду, что если ключи, управляемые клиентом, применяются к среде, в которой уже существуют потоки Power Automate, данные потоков будут продолжать шифроваться с помощью ключа, управляемого Microsoft, а не с ключом клиента. Кроме того, ключи, управляемые клиентом, будут шифровать только данные, хранящиеся в Microsoft Dataverse; любые данные, не относящиеся к Dataverse, и все настройки соединителя шифруются ключом, управляемым Microsoft.Обратите внимание, что шифрование на диске не прекращает доступ оператора во время использования данных.
Для Power BI управляемые ключи Microsoft по умолчанию шифруют хранящиеся и обрабатываемые данные. Чтобы лучше соответствовать суверенным требованиям, вам следует, если возможно, использовать собственный ключ (BYOK) для управления данными семантической модели, загруженный из файла Power BI Desktop (.pbix). В зависимости от ваших конкретных потребностей вы можете хранить ключи, управляемые клиентом, или ключи BYOK в Azure Key Vault или в собственном локальном аппаратном модуле безопасности (HSM). Чтобы обеспечить больший контроль доступа и прозрачность, Azure Key Vault регистрирует каждый успешный доступ или попытку доступа. Поддержка управляемого модуля HSM Azure (mHSM) для Dataverse находится в предварительной версии. Это позволит вам при необходимости отозвать доступ Microsoft к ключам.
Дополнительную информацию см. в разделе Управление ключом шифрования, управляемым клиентом, в Power Platform - Power Platform | Microsoft Learn.